Дербес деректерді өңдеу саясаты

1.1. Осы Дербес деректерді өңдеу саясаты (бұдан әрі — «Саясат») OpenFace сервисі (бұдан әрі — «Сервис») пайдаланушыларының дербес деректерін жинау, өңдеу, сақтау, беру және қорғау тәртібін айқындайды.

1.2. Саясат Қазақстан Республикасының 2013 жылғы 21 мамырдағы № 94-V «Дербес деректер және оларды қорғау туралы» Заңына (бұдан әрі — «ДД туралы Заң») сәйкес әзірленген.

1.3. Сервисте тіркелу кезінде дербес деректерді өңдеуге келісім бере отырып, Пайдаланушы осы Саясатпен танысқанын және оның шарттарын қабылдайтынын растайды.

Сервисті пайдалану шеңберінде біз дербес деректердің мынадай санаттарын жинаймыз:

2.1. Негізгі деректер

• Ұялы телефон нөмірі — тіркелу, авторизация (SMS OTP) және мәмілелер туралы хабарламалар үшін
• IP-мекенжай — әр кіру және әр келісім кезінде тіркеледі
• User-Agent (браузер/құрылғы деректері) — әр кіру және әр келісім кезінде тіркеледі

2.2. Жеке басты верификациялау деректері

Мынадай деректерді Пайдаланушының келісімімен eGov жүйесі (Kaspi.kz, Halyk Bank, Freedom Bank, BCC (БанкЦентрКредит), eGov Mobile қосымшаларында қолжетімді цифрлық куәлік) арқылы аламыз:

• ЖСН (Жеке сәйкестендіру нөмірі) — шифрланған түрде (AES-256-CBC) сақталады
• АТА (аты, тегі, әкесінің аты) — шифрланған түрде (AES-256-CBC) сақталады
• Жеке куәлік нөмірі — шифрланған түрде (AES-256-CBC) сақталады
• Туған күні — шифрланған түрде (AES-256-CBC) сақталады; жас тексеру (18+) үшін пайдаланылады
• Куәлік берілген күні — шифрланған түрде (AES-256-CBC) сақталады; шарт қалыптастыру үшін пайдаланылады
• Куәліктің жарамдылық мерзімі — шифрланған түрде (AES-256-CBC) сақталады; құжат өзектілігін тексеру үшін пайдаланылады
• Жынысы — деректер базасында сақталады; құжаттарды дұрыс рәсімдеу үшін пайдаланылады
• Құжаттағы фотосурет — қорғалған деректер базасында Base64 форматында сақталады; бет-бейнені салыстыру (face match) үшін пайдаланылады

2.3. Биометриялық деректер (ерекше санат)

2.4. Мәмілелер туралы деректер

• Мәміле объектісінің сипаттамасы — мәтіндік сипаттама, мәміле түрі, бағасы, қосымша шарттар
• ЖИ генерациялаған өрістер — ЖИ-талдау жасаған қосымша өрістер мен ұсынымдар
• Мәміле мәртебесі — жасалған, шақыру жіберілген, қабылданған, қабылданбаған, аяқталған
• Верификация нәтижелері — өту мәртебесі, face match бағасы

2.5. Жүктелген файлдар

• Фотосуреттер мен бейнелер — мәмілеге тіркелген материалдар (форматтар: JPG, PNG, MP4; ең үлкен өлшем: 10 МБ)

2.6. Чат хабарламалары

• Мәтіндік хабарламалар — чат функциясы шеңберінде мәміле тараптары арасындағы хат-хабар

2.7. Техникалық деректер

• Сессия деректері — авторизация токені, кіру уақыты, аяқталу уақыты
• Келісімдер туралы деректер — келісім түрі, құжат нұсқасы, күні, IP, User-Agent
• Баланс транзакциялары — сомалар, операция түрлері, күндер

Біз сіздің дербес деректеріңізді мынадай мақсаттар үшін өңдейміз:

Мақсат	Деректер	Негіз
Тіркелу және авторизация	Телефон, OTP-код	Шартты орындау (оферта)
Жеке басты верификациялау	ЖСН, АТА, куәлік нөмірі, туған күні, берілген күні, жарамдылық мерзімі, жынысы, құжат фотосуреті, биометрия	Субъектінің келісімі
Мәмілелердің қауіпсіздігін қамтамасыз ету	Верификация деректері, liveness, face match	Субъектінің келісімі, шартты орындау
Мәмілені ЖИ-талдау	Мәміле сипаттамасы (жеке басын анықтамайтын)	Шартты орындау
SMS-хабарламалар	Телефон нөмірі	Шартты орындау
Тараптар арасындағы чат	Мәтіндік хабарламалар	Шартты орындау
Жүктелген файлдарды сақтау	Фото, бейне	Шартты орындау
Қауіпсіздікті қамтамасыз ету	IP, User-Agent, сессиялар	Оператордың заңды мүддесі
Заңнама талаптарын орындау	Барлық деректер	Заң талабы

4.1. Деректерді шифрлау

• ЖСН, АТА, куәлік нөмірі, туған күні, берілген күні, жарамдылық мерзімі шифрланған түрде сақталады — бірегей шифрлау кілтімен AES-256-CBC алгоритмі
• Құжаттағы фотосуреттер қол жеткізу шектелген қорғалған деректер базасында Base64 форматында сақталады
• Мәміле токендері HMAC-SHA256 арқылы қол қойылады
• Барлық байланыстар HTTPS (TLS 1.2+) хаттамасымен қорғалған

4.2. Ұйымдастырушылық шаралар

• Дербес деректерге тек уәкілетті қызметкерлер қол жеткізе алады
• Деректермен жасалатын барлық әрекеттер тіркеледі (audit trail)
• Таңдау қорғанысы үшін сұраулар жиілігін шектеу (rate limiting) қолданылады
• Бағдарламалық қамтамасыз ету мен қауіпсіздік жүйелерін тұрақты жаңарту

Біз Пайдаланушылардың дербес деректерін сатпаймыз. Деректерді үшінші тұлғаларға беру тек мынадай жағдайларда жүзеге асырылады:

5.1. Верификация серіктестері

Серіктес	Берілетін деректер	Мақсат	Юрисдикция
eGov жүйесі (Kaspi.kz, Halyk Bank, Freedom Bank, BCC, eGov Mobile арқылы)	Цифрлық куәлік коды, телефон нөмірі	ЖСН, АТА, құжат фотосуретін алу	Қазақстан Республикасы
Verigram	Телефон нөмірі, бет-бейне фотосуреті, құжат фотосуреті	Тірілікті тексеру (liveness), бет-бейнені салыстыру (face match)	Қазақстан Республикасы

5.2. Басқа Пайдаланушылар

Мәміле шеңберінде екінші тарапқа: АТА, фотосурет, телефон нөмірі — өзара сәйкестендіру мен қауіпсіздікті қамтамасыз ету үшін ашылады.

5.3. Заң талабы бойынша

Біз ҚР уәкілетті мемлекеттік органдарының сұрауы бойынша заңнамада көзделген жағдайларда және тәртіпте деректерді бере аламыз.

Алушы	Ел	Берілетін деректер	Мақсат
OpenAI, Inc.	АҚШ	Мәміле объектісінің сипаттамасы, мәміле түрі (жеке басын анықтамайтын, ЖСН/АТА/телефонсыз)	ЖИ-талдау: ұсынымдар, шарт өрістері, PDF генерациялау
SMSC.ru (ООО «СМС Центр»)	Ресей	Телефон нөмірі, SMS-хабарлама мәтіні	OTP-кодтар мен мәмілелер туралы хабарламалар жіберу

Трансшекаралық беру кезіндегі қорғау шаралары:

• OpenAI-ға берілетін деректер жеке басын анықтамайтын — ЖСН, АТА, телефон нөмірі немесе басқа сәйкестендіретін деректерді қамтымайды
• Беру қорғалған байланыс арналары (HTTPS/TLS) арқылы жүзеге асырылады
• Компания трансшекаралық беруді ДД субъектісінің келісімі негізінде жүзеге асырады (ДД туралы Заңның 16-бабы 5-тармағы)

7.1. Сервис мәміле сипаттамасын талдау және ұсынымдар қалыптастыру үшін жасанды интеллект технологияларын (OpenAI GPT моделі) пайдаланады.

7.2. Қандай деректер беріледі:

• Мәміле түрі (қызмет, сату, жалға беру)
• Мәміле объектісінің мәтіндік сипаттамасы

7.3. Қандай деректер ЖИ-ға берілМЕЙДІ:

• ЖСН, АТА, телефон нөмірі, IP-мекенжай
• Фотосуреттер, биометриялық деректер
• Верификация деректері, чат хабарламалары

8.1. Пайдаланушы мәмілеге фотосуреттер мен бейнематериалдарды тіркей алады.

8.2. Рұқсат етілген форматтар: JPEG, PNG (суреттер), MP4 (бейне). Файлдың ең үлкен өлшемі: 10 МБ.

8.3. Жүктелген файлдар:

• Компанияның Қазақстан Республикасындағы серверлерінде сақталады;
• Мәміленің екі тарабына да қолжетімді;
• Үшінші тұлғаларға берілмейді (заңда көзделген жағдайларды қоспағанда);
• Пайдаланушының сұрауы бойынша немесе аккаунт жойылған жағдайда жойылады.

8.4. Пайдаланушы жүктелген файлдардың мазмұны үшін толық жауапкершілік алады. ҚР заңнамасын немесе үшінші тұлғалардың құқықтарын бұзатын материалдарды жүктеуге тыйым салынады.

9.1. Сервис нақты мәміле шеңберінде тараптар арасында мәтіндік хабарламалар алмасу функциясын ұсынады.

9.2. Чат хабарламалары:

• Сервистің деректер базасында сақталады;
• Тек нақты мәміленің қатысушыларына қолжетімді;
• Компания тарапынан автоматты немесе қолмен модерацияланбайды;
• Уәкілетті мемлекеттік органдардың сұрауы бойынша берілуі мүмкін.

9.3. Компания Пайдаланушылар жіберген хабарламалардың мазмұнына жауап бермейді. Пайдаланушылар іскерлік қарым-қатынас нормаларын және ҚР заңнамасын сақтауға міндетті.

Деректер санаты	Сақтау мерзімі
Негізгі деректер (телефон, сессиялар)	Сервисті пайдалану мерзімінде + аккаунт жойылғаннан кейін 3 жыл
Верификация деректері (ЖСН, АТА, фотосурет)	Келісім кері қайтарып алынғанға немесе аккаунт жойылғанға дейін
Биометриялық деректер	Белсенді мәмілелер уақытында; барлық мәмілелер аяқталғаннан кейін сұрау бойынша жойылады
Мәмілелер туралы деректер	Мәміле аяқталған сәттен бастап 5 жыл (ҚР азаматтық заңнамасына сәйкес)
Чат хабарламалары	Тиісті мәмілені сақтау мерзімінде
Жүктелген файлдар	Тиісті мәмілені сақтау мерзімінде немесе Пайдаланушы жойғанға дейін
Келісімдер туралы деректер	Мерзімсіз (келісім фактісін растау үшін)
Баланс транзакциялары	5 жыл (ҚР бухгалтерлік заңнамасы)

11.1. Сервис мынадай cookie файлдарын пайдаланады:

Cookie	Мақсаты	Мерзімі	Түрі
auth_token	Пайдаланушыны авторизациялау (сессияны қолдау)	30 күн	Қажетті
openface_lang	Интерфейстің таңдалған тілі	1 жыл	Қажетті
of_src	Сайтқа алғашқы өту көзі: іздеу жүйесі, әлеуметтік желі немесе келуші келген сайт, жарнамалық сілтеме белгілері (UTM) және кіру беті. Тіркелу кезінде бұл мәліметтер тарту арналарының тиімділігін бағалау үшін есептік жазбада сақталады. Дербес деректерді қамтымайды.	90 күн	Аналитикалық
_ga*	Google Tag Manager (Google LLC): сайттағы кірулер мен әрекеттердің иесіздендірілген статистикасы	2 жылға дейін	Аналитикалық

11.2. Аналитикалық cookie файлдары тек кірулер статистикасы және пайдаланушылардың қайдан келетінін бағалау үшін қолданылады. Сервис жарнамалық cookie файлдарын пайдаланбайды. Аналитикалық cookie файлдарын браузер параметрлерінде өшіруге болады, бұл Сервис жұмысына әсер етпейді.

11.3. auth_token cookie файлы Сервис жұмысы үшін қажетті. Бұл cookie файлын браузер параметрлерінде өшіру авторизацияның мүмкін еместігіне әкеледі.

11.4. Сонымен қатар Сервис cookie файлдарын пайдаланбай, кірулердің өз иесіздендірілген статистикасын жүргізеді: ашылған беттер, өту көзі, құрылғы түрі, беттегі уақыт және сайттағы әрекеттер есепке алынады. IP-мекенжай және тұлғаны анықтауға мүмкіндік беретін өзге деректер сақталмайды; келуші бір тәулік ішінде ғана бір реттік кілт арқылы ажыратылады, кейін кілт жойылады. Статистика Қазақстан Республикасының аумағындағы Сервис серверлерінде сақталады және үшінші тұлғаларға берілмейді.

ДД туралы Заңның 15, 18-баптарына сәйкес сіздің мынадай құқықтарыңыз бар:

Құқықтарыңызды қалай жүзеге асыруға болады:

• Сервисте: «Профиль» → «Менің келісімдерім» — келісімдерді басқару үшін
• Email арқылы: support@openface.kz

Біз сіздің сұрауыңызды алған сәттен бастап 15 жұмыс күні ішінде қарауға міндеттенеміз.

13.1. Сервис тек 18 жасқа толған тұлғаларға арналған.

13.2. Біз кәмелетке толмағандардың дербес деректерін әдейі жинамаймыз. 18 жасқа толмаған тұлғаның деректерін өңдегенімізді білсек, мұндай деректерді дереу жоямыз және аккаунтты бұғаттаймыз.

13.3. Кәмелетке толмаған тұлғаның Сервисті пайдаланатыны белгілі болса, бізге email арқылы хабарлаңыз: support@openface.kz.

14.1. Дербес деректердің ағуы немесе оларға рұқсатсыз қол жеткізу жағдайында Компания мыналарға міндеттенеді:

• 3 жұмыс күні ішінде дербес деректерді қорғау жөніндегі уәкілетті органды (МЦРИАП РК) хабардар ету;
• 5 жұмыс күні ішінде зардап шеккен Пайдаланушыларды SMS немесе Сервистегі хабарлама арқылы хабардар ету;
• Ағу салдарын жою бойынша шұғыл шаралар қабылдау;
• Ішкі тергеу жүргізу және нәтижелерін тіркеу.

14.2. Пайдаланушыларға хабарлау мыналарды қамтиды: оқиға сипаты, зардап шеккен деректер тізбесі, қабылданған шаралар және тәуекелдерді азайту бойынша ұсынымдар.

15.1. Дербес деректер саласындағы құқықтарыңыз бұзылды деп санасаңыз, уәкілетті мемлекеттік органға жүгінуге құқылысыз:

16.1. Біз осы Саясатты жаңартуға құқылымыз. Маңызды өзгерістер туралы Пайдаланушыларды хабардар етеміз:

• Сервистегі хабарлама арқылы;
• Тіркелген телефон нөміріне SMS арқылы.

16.2. Өзгерістер күшіне енгеннен кейін Сервисті пайдалануды жалғастыра отырып, сіз Саясаттың жаңа нұсқасымен келісесіз.

16.3. Саясаттың барлық алдыңғы нұсқалары email арқылы сұрау бойынша қолжетімді: support@openface.kz.